渗透神器Cobalt Strike的使用

Cobalt Strike是一款成熟的渗透测试框架，被业界称为cs神器。由java编写，集成了端口转发、服务扫描、木马生成、端口监听、代理、自动化溢出等。

Cobalt Strike模块

Cobalt Strike模块

• New Connection：当前窗口新建一个连接
• Preferences:偏好设置，首选项，用于设置CobaltStrike主界面、控制台、teamServer连接记录、报告的样式
• Visualization:将主机以不同的权限展示出来
• VPNInterfaces：设置VPN接口
• Listeners：创建监听器
• Script Manager：加载CNA脚本
• Close：关闭当前与TeamServer的链接

View模块

• Applications：显示被控主机的应用信息
• Credentials：存放获取的密码和散列值
• Downloads：从被控机器中下载的文件
• Event Log：主机上线记录
• Keystrokes：键盘记录
• Proxy Pivots：代理模块
• Screenshots：屏幕截图模块
• Script Console：控制台，在这里可以加载各种脚本
• Targets：显示目标
• Web Log：web日志

Attacks模块

Packages模块

• HTML Application：基于HTML应用的Payload模块
• MS Office Macro：生成基于Office病毒的payload模块
• payload Generator：Payload生成器，可以生成基于C、C#、COMScript、java、Perl、Powershell、Python、Ruby、VBA等payload
• Windows Executable：生成基于服务的EXE、DLL等后门程序
• WindowsExecutable(S)：生成一个windows可执行文件、包含Beacon的完整Payload，不需要阶段性的请求。

Web Drive-by

• Manage：管理器，用于对TeamServer上已开启的Web服务进行管理
• Clone Site：用于克隆指定网站的样式
• HostFile：用于将指定文件加载到Web目录中
• Script Web Delivery：基于Web的攻击测试脚本，自动生成可执行payload
• Signed Applet Attack：使用Java自签名的程序进行钓鱼攻击测试。如果用户有Applet运行权限，就会执行恶意代码
• Smart Applet Attack：自动检测Java的版本并进行跨平台和跨浏览器的攻击测试。
• System Profiler：客户端检测工具，可以用来获取一些系统信息

Reporting模块

配合Cobalt Strike的操作记录、结果等生成相关报告。

网站克隆

点击Attacks模块下的Clone Site

我们克隆淘宝，勾选上键盘记录


访问URL
在Web日志中可以查看键盘记录

信息搜集

Attacks Web Drive-by模块下System Profiler

在Web日志中查看

后渗透模块

提权

填权在Access中(Elevate)，模块中内置了ms14-058 uac-dll uac-token-duplication模块。ms14-058用于将windows主机从普通用户权限直接提升到System权限。uac-dll uac-token-duplication用于进行bypassUAC。

选择ms14-058进行提权，成狗后将弹回一个system权限的会话

Dump Hashes导出散列值

Beacon右键，Access–>Dump Hashes 或命令行中执行hashdump命令。
hashdump必须在拥有adminstrators权限的情况下才能执行。

在View–>Credentials中也可以查看

logonpasswords

Access–>Run Mimikatz 或在命令行中执行logonpasswords命令。
logonpasswords模块通过调用mimikatz的DLL文件。如果以管理员权限使用logonpasswords模块，mimikatz模块会将内存中的lsass.exe进程保存的用户明文密码和散列值直接导出。

在View–>Credentials中查看导出的信息

make_token模拟指定用户

Access–>Make_token 或命令行中执行 make_token[DOMAIN\user][password]命令。如果已经获得了域用户的账号和密码，就可以使用此模块生成令牌，生成的令牌具有指定域用户的身份。

端口扫描

Access–>Port scan
通过端口扫描在View Targets中可以看到存活的主机

PsExec

jump–>PsExec 或在命令行中执行 psexec[host][share][listener]

该模块调用了mimikatz需要管理员权限，psexec栏中可以看到mimikatz收集的凭据。选择一个Beacon，远程主机就会在Cobalt Strike中上线，获得新的Beacon

进程注入与键盘记录

Expele–>Process List

进程注入

选择要注入的进程点击Inject，选择监听

返回一个新的Beacon

键盘记录

点击Log Keystrokes

在View–>Keystrokes中可以查看记录

socks代理
Pivoting–>socks server

View–>Proxy Pivots中可以看到代理设置

浏览器设置代理

socks stop命令用于停止当前Beacon的全部Socks代理
转发socks代理时使用的命令

spawna派发指定用户身份的shell

Access–>Spawn As 或在命令行中执行spawnas[DOMAIN\user][password][listener]命令
将一个指定的身份权限的Beacon派发给其他Cobalt Strike团队服务器、Msf、Empire

spawn

防止权限丢失，获取Beacon后使用spawna在获取一个新的Beacon，也可以与msf、Empire框架联动。

Beacon中常用命令

getuid //获取当前用户权限
getsystem //获取System权限
getprivs //获取当前Beacon包含的所有权限
browserpivot [pid] [x86|x64] //劫持指定Beacon浏览器
desktop [high|low] //使用Desktop进行VNC连接
//文件管理模块
cd //切换文件夹
ls //列出目录
download //下载文件
upload //上传文件
execute //执行文件
mv //移动文件
mkdir //创建文件夹
delete //删除文件或文件夹

net view命令
net view<DOMAIN> //显示指定计算机贡献的域、计算机资源的列表
net computers //通过查找域控制器上的计算机账户列表来查找目标
net dclist //列出域控制器
net domin_trusts //列出域信任列表
net group //列出自身所在域控制器中的组
net group \\target //指定域控制器
net localgroup //列出当前系统中本地组
net localgroup \\target //列出指定远程系统中的本地组
net localgroup \\target <GROUPNAME>//指定组名获取目标机器中本地组的用户列表
net logons //列出登陆的用户
net sessions //列出会话
net share //列出共享的目录和文件
net user //列出用户
net time //显示时间

//端口扫描
portscan[targets][ports][arp|icmp|none][max connections]

ps //查看进程
kill [pid]//结束进程
screenshot[pid]<x86|x64>[run time in seconds]
note[name] //机器命名
exit //退出当前Beacon会话

//使用shell命令
shell [command][arguments]
run [program][arguments]
execute[program][arguments] //运行指定程序
powershell[commandlet][arguments]//使用powershell执行命令
powerpicl[commandlet][arguments]//不通过调用powershell执行命令
powershell-import[/path/to/local/script.ps1]//将本地powershell脚本加载到目标系统的内存中

人生漫漫其修远兮，网安无止境。
一同前行，加油！